Aon 2021 Siber Güvenlik Risk Raporu; 2020’de fidye yazılımları patladı

Risk, emeklilik ve sağlık konularında profesyonel hizmetler sunan Aon, ‘2021 Siber Güvenlik Risk Raporu’nun sonuçlarını kamuoyuyla paylaştı. Kuzey Amerika, Avrupa, Ortadoğu, Afrika ve Asya Pasifik bölgesindeki 20 farklı sektörden bine yakın kurumdan elde edilen verileri analiz eden rapor, kurumların karşılaştığı güncel siber riskleri ve bu risklerin yönetim metodolojilerini ortaya koyuyor.

Raporla ilgili görüşlerini paylaşan Aon Türkiye Eş-CEO'su Selda Oknas Tanbay, şu açıklamayı yapıyor: “2020 yılında sektörler genelinde dijital dönüşümün hızının arttığı bir yıl oldu. Rekabetçi yapılarını korumak isteyen kurumların güvenliği ihmal edebildiğini gördük.   Günümüzde kuruluşların karşılaştığı siber tehditlerin çoğu yeni değil; bağlı cihazlar, fidye yazılımları ve içeriden riskler her zaman mevcut olacak. Bununla birlikte, COVID-19’un etkisiyle karmaşıklaşan siber dünyanın, katlanarak artan siber risklere maruz kalabileceğini hesaba katmalıyız. Hızla ilerleyen dijital evrimde kurumların güvenliği en az büyüme planları kadar gündemde tutmaları gerekiyor. Aon Güvenlik Çözümleri’nin hazırladığı raporumuz her geçen gün yenileri ortaya çıkan risklerle mücadele için bir yol haritası niteliğinde.”

2020’nin sonu ve 2021’in başı itibarıyla gün yüzüne çıkan Mimecast, SolarWinds, Accellion ve Microsoft Exchange gibi başarılı olmuş siber saldırıların üçüncü taraflarla çalışmanın getirdiği zafiyetleri ortaya çıkardığı tespitinin yer aldığı rapora göre 2018’in ilk çeyreğinden 2020’in son çeyreğine kadar yüzde 400’e varan artış gösteren fidye yazılımlar, sigortacılar için ilk sırada yer alan siber risk oldu. [1]

2020 fidye yazılımları için patlama yılı oldu
Rapora göre 2020’de fidye yazılımı saldırılarının sayısı ve çeşitliliğinde patlama yaşanırken siber sigortacılar 2019’un başından 2020’ye kadar bu alana yönelik taleplerde yüzde 336’lık bir artış yaşandığını bildiriyor. Fidye yazılımlarından kaynaklı kurumsal maliyetlerin 2021’de 20 milyar dolara yaklaşması beklenirken fidye yazılımlarının ardında “ödeyip kurtulma” esasına dayanan yazılımlar olmadığı, verilerin tamamen silinmesi gibi senaryoları da içerisinde barındırdığı ifade ediliyor. 2020’nin sonunda, 10 fidye yazılımı saldırısından yedisi, verileri sızdırma tehdidini içeriyordu ve bazı varyantlar çalınan verileri açık artırmayla satma girişimlerinde bulunuyordu. Ayrıca, sunucuların veya veri kümelerinin kalıcı olarak silindiği bir veri imhası da yaşandı. Raporda kurumlara fidye yazılımı risklerinin azaltılması için güvenlik açıklarını belirleme, iş sürekliliği planları oluşturma ve ihlal yanıtına yardımcı olmak için yalnızca kalifiye siber güvenlik uzmanları ile çalışma gibi önlemleri almaları tavsiye ediliyor.

Dijital dönüşümün getirdiği riskler
Aon 2021 Siber Güvenlik Risk Raporu’na göre nesnelerin interneti (IoT), bedenlerin interneti (IoB) ve akıllı şehir inisiyatifleri 2021 yılında da siber riskler oluşturmaya devam edecek.  Raporda bu ortamda faaliyet gösteren kurumların, yeni teknolojilerin veya iş modellerinin benimsenmesiyle ortaya çıkan siber risklere karşı tedbirli olmaları gerektiği belirtiliyor.  Kurum çapında bir yaklaşımın parçası olarak, siber riskleri ve tehditleri belirlemenin önemine vurgu yapılan raporda, en iyi siber güvenlik uygulamaları yoluyla uygun şekilde riskleri azaltmak; olaylara hazırlanmak ve hazır olmak; riskin hangi kısmının sigorta yoluyla bilanço dışına aktarılacağını değerlendirmek ve ardından yeni risklerin karşılandığından emin olmak için mevcut poliçeleri incelemenin önemine dikkat çekiliyor.

Kurumlar uzaktan çalışmaya karşı önlemlerini artırıyor
Pandemi ile birlikte kurumlarda giderek yaygınlaşan uzaktan çalışma yaklaşımı çerçevesinde kurum çalışanlarının kurumsal sistemlere ve verilere güvenli bir şekilde erişmelerinin öneminin altını çizen rapora göre uzaktan çalışma anlayışı kalıcı olmakla birlikte kurumların yalnızca yüzde 40’ı yeni riskleri yönetmek için yeterli seviyede bir uzaktan çalışma stratejisine sahip. Söz konusu stratejiler kapsamında kurumların alması gereken önlemler şöyle sıralanıyor:
• Uzaktan bağlanırlık
• Kimlik doğrulama
• Cihaz arızaları ve takibi
• Uzaktan çalışma kapsamında iş sürekliliği
• Uzaktan çalışma kapsamında güvenlik farkındalığı.

Rapora göre her beş kurumdan yalnızca ikisi hızla gelişmekte olan dijital devrimden kaynaklanan yeni risklere karşı hazırlıklı olduklarını belirtiyor. Yeterli seviyede uygulama güvenlik önlemlerinin yürürlükte olduğunu belirten kurumların oranı ise yalnızca yüzde 17. Kurumların yalnızca yüzde 21’i kritik tedarikçi ve bayileri denetlemek için temel önlemlere sahip olduklarını belirtiyor.

Üçüncü taraf iş ortaklarının güvenliği
Rapora göre kuruluşlar, tedarik zincirlerinden kaynaklanan siber riskleri yeni yöntemlerle ve artan endişeyle değerlendirirken, bir süre önce Amerikan teknoloji şirketi Accellion’un dosya paylaşım programı ve yazılım şirketi SolarWinds’in Orion ağ yönetim yazılımında yaşanan güvenlik ihlallerinde olduğu gibi savunulmayan bir arka kapının tüm kurum güvenliğini tehdit edebileceği belirtiliyor [2].

Kâr amacı güden ya da gütmeyen kuruluşlar, akademik kurumlar ve kamu kurumlarının tamamen birbirine bağlı olduğu vurgulanırken, COVID-19 salgınının etkileriyle dijital taleplerdeki artışla birlikte üçüncü taraf uygulama ve ürün kullanımlarında artış yaşandığı ifade ediliyor. İş sürekliliği açısından kritik önem arz eden tedarikçilerin değerlendirilmesine yönelik yönetim önlemlerini alan kurumların oranının yüzde 21 gibi düşük bir oran olduğunun altı çizilirken, üçüncü taraf risklerini yeterince yönetmeyen kuruluşların bir dizi durum tespiti, işe alım ve sözleşme risk yönetimi önlemlerini dikkate almaları gerektiği belirtiliyor.

Rapora göre inceleme aşamasında ve işe alım süreçlerinde üçüncü taraf tedarikçiler üzerinde siber güvenlik değerlendirmeleri yapılması gerekiyor. Ayrıca siber güvenlik değerlendirmeleri, sızma testi ve iş sürekliliği yönetimi ve müdahale tatbikatlarını periyodik olarak gerçekleştirmek için üçüncü taraf tedarikçileri Hizmet Düzeyi Anlaşmalarını (SLA’lar) kabul etmesinin önemine dikkat çekiliyor.

Yakın vadede dikkat edilmesi gereken beş risk alanı
2021 Siber Güvenlik Risk Raporu’nda yakın vadede kritik önem taşıyan beş risk alanı da tanımlanıyor:
1) Yapay zekâ: Makine öğrenimi şaşırtıcı bir hızla ilerliyor ve kuruluşların iş yapma şeklinin kaçınılmaz bir parçası. Gelişimiyle birlikte kurumlar ve insanlar için seçimler yapan yapay zekâ, söz konusu seçimleri etkileyebilecek saldırılara karşı riskler oluşturabilir.
2) Alternatif ödeme yöntemleri: Alternatif ödeme yöntemlerine duyulan ihtiyaç artıyor. Banka kullanmayan kitlelerle etkileşimi artıran kurumların işletmeden doğruda tüketiciye yönelen iş modellerinin risklerini değerlendirmesi gerekiyor.
3) Teknoloji tedarik zinciri: Gittikçe daha fazla hassas veri ve fikri mülkiyet üçüncü taraf yazılımlar aracılığıyla değiş tokuş edildiğinden, kuruluşların güvenlik açıklarını ve siber riske maruz kalma durumlarını değerlendirirken dikkatli olmaları gerekiyor.
4) Emeklilik planları: Emeklilik planları maddi kaynaklara ve geniş veri kaynaklarına erişim imkânı barındırıyor. Kurumların, çalışanların emeklilik verilerinin anahtarlarının kimin elinde olduğunu ve plan sağlayıcının güvene dayalı sorumluluğunu bilmesi gerekiyor. Planlara giderek daha fazla çevrimiçi ve mobil cihazlardan erişildikçe, bu veriler ihlallere karşı giderek daha hassas hale geliyor.
5) Karanlık ağ: Kripto para birimi ekosisteminin büyümesi, TOR gibi tarayıcıların kullanımı ve fidye yazılımı gruplarının artan karmaşıklığı ile desteklenen siber suçlar güçleniyor. Karanlık ağ (dark web) söz konusu siber risklerin merkezlerinden biri olarak konumlanıyor. Kurumların bu alanda gerekli rehberliği almadan faaliyet göstermemeleri öneriliyor.

[1] https://www.aon.com/2021-cyber-security-risk-report/
[2] https://www.aon.com/2021-cyber-security-risk-report/